Oracle 重要补丁更新公告 — 2012 年 4 月

说明

重要补丁更新是针对多个安全漏洞的补丁集合。重要补丁更新补丁通常是累积式的，但是每个公告只描述自上一个重要补丁更新公告以来添加的安全修复程序。因此，要了解有关以前发布的安全修复程序的信息，应该查看以前的重要补丁更新公告。请参见：

重要补丁更新和安全警报，获得有关 Oracle 安全公告的信息。

考虑到攻击得逞所带来的威胁，Oracle 强烈建议客户尽快应用 CPU 修复程序。 该重要补丁更新包含针对下列产品系列的 88 个新的安全修复程序。

Oracle 在 2012 年 1 月 31 日发布了安全警报，用于解决安全性问题 CVE-2011-5035，这是在多个 Oracle 产品中因散列冲突引起的一个拒绝服务漏洞。请参阅安全警报 (CVE-2011-5035)，获得受影响的产品列表和可用补丁信息。

受影响的产品和组件

该重要补丁更新解决的安全漏洞将影响以下按类别列出的产品。针对所列版本的补丁的产品领域显示在与指定的“产品和版本”列对应的“可用补丁”列中。请单击下面的“可用补丁”列中或可用补丁表中的链接，查看这些补丁的文档。

下面是 Oracle 终身支持政策下标准支持或扩展支持所涵盖的受影响的产品版本列表：

可用补丁表与风险表

使用累积式补丁的产品

重要补丁更新中的 Oracle 数据库、Oracle 融合中间件、Oracle Enterprise Manager Grid Control、Oracle E-Business Suite 管理软件、JD Edwards EnterpriseOne、JD Edwards OneWorld Tools、PeopleSoft Enterprise Portal 管理软件、PeopleSoft Enterprise PeopleTools、Siebel Enterprise、行业管理软件、FLEXCUBE、Primavera 和 Oracle VM 补丁均是累积式的。换言之，重要补丁更新中包括的任何这些产品的补丁都包含之前的重要补丁更新中针对相应产品的所有修复程序。有关累积式和非累积式补丁的详细信息，请查阅下表中各产品组的可用补丁文档。

可用补丁表

对于所管理的每个 Oracle 产品，请查阅下表中提到的有关可用补丁信息和安装说明的文档。有关与该重要补丁更新相关的 Oracle 产品文档概述，请参阅 2012 年 4 月 Oracle 重要补丁更新文档概述 My Oracle Support 说明 1395797.1。

风险表只列出公告涉及到的补丁新近修复的安全漏洞。之前的安全修复程序的风险表包含在之前的重要补丁更新公告中。在此可获取本文档中提供的风险表的英语文本版本。

该重要补丁更新提出的几个漏洞影响着多个产品。每个漏洞都通过一个漏洞号来标识，该编号是相应漏洞的唯一标识符。一个影响多个产品的漏洞将在所有风险表中显示相同的漏洞号。斜体 表明其他产品领域中包含的代码中的漏洞。

安全漏洞使用 CVSS 2.0 版进行评估（请参阅用于解释 Oracle 如何应用 CVSS 2.0 的 Oracle CVSS 评估系统）。Oracle 对重要补丁更新 (CPU) 解决的各个安全漏洞进行了分析。Oracle 不公开有关安全性分析的信息，但会在生成的风险表和相关文档中提供有关漏洞类型、利用漏洞所需的条件以及利用得逞的潜在影响的信息。Oracle 部分地提供了这些信息，以便客户可以根据他们产品使用的特殊性分析自己的风险。出于政策方面的原因，Oracle 不会透露有关可能会导致漏洞利用得逞的利用条件或结果的详细信息。Oracle 不提供除 CPU 或安全警报通知、可用补丁表、自述文件和常见问题解答所提供信息以外的其他具体漏洞信息。Oracle 不向个别客户提供有关 CPU 或安全警报的预先通知。最后，Oracle 不会针对产品漏洞发布可利用的入侵代码或验证性代码。有关详细信息，请参阅 Oracle 漏洞公开政策。

风险表中的协议暗示其所有安全变体（如果适用）也将受到影响。例如，如果列出 HTTP 为受影响协议，则暗示 HTTPS（如果适用）也将受到影响。

解决方法

考虑到攻击得逞所带来的威胁，Oracle 强烈建议客户尽快应用 CPU 修复程序。如果不应用 CPU 修复程序，则无法通过阻止攻击所需的网络协议来降低攻击得逞的风险。对于需要特定权限或者需要访问特定程序包的攻击，对不需要这些权限的用户删除这些权限或者使其无法访问这些程序包可能有助于降低攻击得逞的风险。这两种方法都有可能损害应用程序功能，因此 Oracle 强烈建议客户在非生产系统上测试更改。这两种方法都不能更正底层问题，因此都不能作为长期解决方案。

漏掉的重要补丁更新

Oracle 强烈建议客户尽快应用安全修复程序。如果客户漏掉了一个或多个重要补丁更新，担心该 CPU 中未公布其修复程序的产品出现安全问题，请查看以前的重要补丁更新公告以确定要采取的行动。

产品相关性

某些 Oracle 产品可能依赖于其他 Oracle 产品。因此，该重要补丁更新中发布的安全漏洞修复程序可能影响一个或多个相关的 Oracle 产品。有关这些相关产品以及对相关产品应用补丁的详细信息，请参阅 2012 年 4 月补丁集更新和重要补丁更新可用性文档，My Oracle Support 说明 1406574.1。

重要补丁更新支持的产品和版本

只有终身支持政策的标准支持或扩展支持阶段中涵盖的产品版本才提供重要补丁更新补丁。建议客户规划产品升级，以确保当前运行的版本可以应用重要补丁更新补丁。

没有对未涵盖在标准支持或扩展支持之下的产品版本测试过是否存在该重要补丁更新提出的安全漏洞。但是，很可能受影响的版本的那些早期版本也会受这些安全漏洞的影响。

受支持的数据库、融合中间件、Oracle Enterprise Manager 基础平台（以前的“Oracle Enterprise Manager Grid Control”）和 Collaboration Suite 产品根据软件错误更正支持政策（参见 My Oracle Support 说明 209768.1）进行修补。有关支持政策和支持阶段的详细指南，请查看技术支持政策。

处于扩展支持阶段的产品

已购买终身支持政策下的扩展支持的客户可以使用重要补丁更新补丁。客户必须具有有效的扩展支持服务合同，才能在扩展支持阶段下载重要补丁更新补丁。

应请求 模式

Oracle 仅为客户要针对下一个重要补丁更新（基于历史数据）下载的平台/版本组合预先创建补丁。只要客户要求，我们将为以前固定的 Oracle 数据库、Oracle 应用服务器和 Enterprise Manager 的平台/版本组合创建补丁。

有关“应请求”补丁的更多详情，请参阅 2012 年 4 月补丁集更新和重要补丁更新可用性文档，My Oracle Support 说明 1406574.1。

致谢声明

该重要补丁更新修复的安全漏洞由以下人员或组织向 Oracle 报告：Red Database Security 的 Alexander Kornbrust；与 TippingPoint 的零时差项目合作的 Andrea Micalizzi aka rgod；TippingPoint DVLabs 的 Brian Gorenc；Dave Love；V3rity 的 David Litchfield；Edward Torkington；Application Security, Inc. 的 Esteban Martinez Fayo；Frank Stuart；TippingPoint 零时差项目的 G & W Laboratories；Recx 的 Nathan Catlow；LYNX Ltd. 的 Peter Maklary；IBM Canada 的 Pierre Ernst；Security-Assessment.com 的 Roberto Suggi Liverani；Network Intelligence 的 Shrikant Antre 和 Sunil Yadav；Sow Ching Shiong，通过 Secunia 报告；Vishal K；以及 William Hay。

深度安全贡献者

Oracle 向那些为我们的深度安全计划作出贡献的人表示感谢（参见常见问题解答）。对于导致在以后版本中大量修改 Oracle 代码或文档但是严重程度不足以归类到重要补丁更新中的安全漏洞问题，如果有人提供相关的信息、发现或建议，则会因为深度安全作出贡献而受到褒奖。

在此重要补丁更新公告中，Oracle 向以下为 Oracle 深度安全计划作出贡献的人们表示感谢：Red Database Security 的 Alexander Kornbrust；iSIGHT Partners Global Vulnerability Partnership 的 Joxean Koret；以及 Integrigy 的 Stephen Kost。

重要补丁更新在距 1 月、4 月、7 月和 10 月的第 17 日最近的星期二发布。接下来的四个日期为：

• 2012 年 7 月 17 日
• 2012 年 10 月 16 日
• 2013 年 1 月 15 日
• 2013 年 4 月 16 日

参考资料

• Oracle 重要补丁更新和安全警报主页 [ Oracle 技术网 ]
• 重要补丁更新 — 2012 年 4 月文档概述 [ My Oracle Support 说明 1395797.1 ]
• Oracle 重要补丁更新和安全警报 — 常见问题解答 [ CPU 常见问题解答 ]
• 风险表定义 [ 风险表定义 ]
• 使用常见漏洞评估系统 (CVSS)，Oracle [ Oracle CVSS 评估 ]
• 风险表的英语文本版本 [ Oracle 技术网 ]
• 重要补丁更新和安全警报中修复的公共漏洞列表 [ Oracle 技术网 ]
• 软件错误更正支持政策 [ My Oracle Support 说明 209768.1 ]

修改记录